Messup

Chính sách quyền riêng tư (Privacy Policy)

Phiên bản 2026-07-19 — hiệu lực từ 19/07/2026

Messup (“chúng tôi”) cung cấp hộp thư hợp nhất đa kênh: bạn kết nối các kênh chat (Zalo, Telegram, Facebook, Slack…), đọc và trả lời tin nhắn ở một nơi, kèm trợ lý AI và các tính năng tự động hoá. Chính sách này mô tả dữ liệu chúng tôi thu thập, cách dùng, chia sẻ và quyền của bạn. Dùng Messup nghĩa là bạn đồng ý với chính sách này.

1. Dữ liệu chúng tôi thu thập (Information We Collect)

  • Tài khoản: họ tên, email, mật khẩu (băm bcrypt), số điện thoại, ảnh đại diện.
  • Tin nhắn từ kênh bạn kết nối: khi bạn chủ động kết nối một kênh, nội dung hội thoại (văn bản, tệp đính kèm, người gửi, thời gian) được đồng bộ về hạ tầng của chúng tôi để hiển thị trong hộp thư hợp nhất.
  • Danh bạ: (a) tự nhận diện người gửi từ hội thoại; (b) danh bạ bạn nhập từ Google/tệp .vcf; (c) danh sách bạn bè/thành viên của kênh chat — chỉ khi bạn bấm đồng ý ở bước kết nối kênh (xem mục 3).
  • Thanh toán: lịch sử nạp ví và giao dịch token. Chúng tôi không lưu số thẻ/tài khoản ngân hàng — thanh toán xử lý qua đối tác (SePay).
  • Dữ liệu sử dụng: log kỹ thuật (IP, trình duyệt, thời gian truy cập) phục vụ bảo mật và vận hành.

2. Cách chúng tôi sử dụng dữ liệu (How We Use Information)

  • Cung cấp hộp thư hợp nhất, danh bạ, thông báo và các tính năng bạn bật.
  • Chạy tính năng AI bạn yêu cầu (tóm tắt, bóc việc, trợ lý Agent D): phần hội thoại liên quan được gửi tới nhà cung cấp mô hình AI qua OpenRouter để xử lý — chỉ khi bạn dùng tính năng đó, và không dùng để huấn luyện mô hình của chúng tôi.
  • Xử lý nạp ví, tính phí theo mức dùng, chống gian lận.
  • Bảo mật, chẩn đoán sự cố, cải thiện sản phẩm.
  • Gửi email giao dịch (xác thực, đặt lại mật khẩu). Không gửi quảng cáo nếu bạn không đăng ký.

3. Đồng bộ danh bạ theo sự đồng ý (Contact Sync Consent)

  • Khi kết nối một kênh có API danh bạ, Messup hỏi bạn có cho phép đồng bộ danh sách bạn bè/thành viên (tên, ảnh đại diện, số điện thoại/email nếu kênh cung cấp) vào Danh bạ Messup không.
  • Không đồng ý → không đồng bộ; kênh vẫn kết nối bình thường.
  • Bạn đổi ý bất cứ lúc nào trong Danh bạ → Đồng bộ kênh. Tắt chỉ dừng các lần đồng bộ sau; liên hệ đã lưu vẫn giữ cho tới khi bạn xoá.
  • Bạn có trách nhiệm bảo đảm việc đồng bộ danh bạ tuân thủ điều khoản của nền tảng gốc và pháp luật áp dụng với dữ liệu của người khác.

4. Chia sẻ dữ liệu (How We Share Information)

Chúng tôi không bán dữ liệu cá nhân của bạn. Dữ liệu chỉ chia sẻ với:

  • Nhà cung cấp hạ tầng để vận hành dịch vụ: Vercel (hosting), Neon (cơ sở dữ liệu), Fly.io (worker kênh chat), Resend (email giao dịch), SePay (thanh toán), OpenRouter (xử lý AI theo yêu cầu của bạn) — theo hợp đồng xử lý dữ liệu của từng bên.
  • Thành viên tổ chức của bạn: hội thoại bạn chủ động chia sẻ vào không gian tổ chức hiển thị cho thành viên theo phân quyền.
  • Yêu cầu pháp lý: khi luật buộc phải cung cấp, hoặc để bảo vệ quyền, an toàn của người dùng và dịch vụ.
  • Chuyển giao doanh nghiệp: nếu sáp nhập/bán công ty, dữ liệu có thể chuyển giao kèm nghĩa vụ của chính sách này.

5. Lưu trữ & xoá dữ liệu (Data Retention)

  • Dữ liệu tài khoản và tin nhắn giữ trong suốt thời gian bạn dùng dịch vụ.
  • Ngắt kết nối một kênh → dữ liệu phiên đăng nhập kênh đó trên worker bị xoá. Xoá tài khoản → dữ liệu cá nhân bị xoá hoặc ẩn danh trong 30 ngày, trừ phần luật yêu cầu giữ (hoá đơn, chống gian lận).
  • Bản sao lưu kỹ thuật được xoay vòng tự động trong tối đa 30 ngày.

6. Bảo mật (Security)

  • Mã hoá khi truyền (TLS) và khi lưu (AES-256-GCM cho token/khoá kênh).
  • Mật khẩu băm bcrypt; phiên đăng nhập JWT ký HS256, cookie httpOnly.
  • Không có hệ thống nào an toàn tuyệt đối — hãy dùng mật khẩu mạnh và báo cho chúng tôi khi nghi ngờ tài khoản bị truy cập trái phép.

7. Quyền của bạn (Your Rights)

  • Truy cập, sửa, xoá dữ liệu cá nhân; xuất danh bạ; rút lại sự đồng ý đồng bộ.
  • Cư dân California (CCPA/CPRA): quyền biết, quyền xoá, quyền sửa, quyền từ chối “bán/chia sẻ” dữ liệu (chúng tôi không bán), và quyền không bị phân biệt đối xử khi thực thi các quyền này.
  • Người dùng EEA/UK (GDPR): quyền truy cập, cải chính, xoá, hạn chế xử lý, phản đối và chuyển dữ liệu; cơ sở xử lý là hợp đồng (cung cấp dịch vụ) và sự đồng ý (đồng bộ danh bạ, AI).
  • Thực thi quyền: gửi yêu cầu tới email ở mục 11 — phản hồi trong 30 ngày.

8. Trẻ em (Children’s Privacy — COPPA)

Messup không dành cho người dưới 13 tuổi và chúng tôi không cố ý thu thập dữ liệu của trẻ dưới 13 tuổi. Nếu bạn cho rằng một trẻ em đã cung cấp dữ liệu cho chúng tôi, hãy liên hệ để chúng tôi xoá.

9. Chuyển dữ liệu quốc tế (International Transfers)

Hạ tầng của chúng tôi đặt tại Hoa Kỳ và Singapore. Dùng dịch vụ nghĩa là dữ liệu của bạn có thể được xử lý ngoài quốc gia bạn cư trú, với các biện pháp bảo vệ tương đương chính sách này.

10. Thay đổi chính sách (Changes to This Policy)

Khi thay đổi đáng kể, chúng tôi tăng số phiên bản và yêu cầu bạn xác nhận lại trong ứng dụng trước khi tiếp tục sử dụng. Lịch sử phiên bản ghi ngay trên trang này.

11. Liên hệ (Contact Us)

Mọi câu hỏi về quyền riêng tư: email privacy@messup.dev.